- 攻撃者は脆弱な機器を悪用し、正規の帯域幅共有ソフトウェアをインストールしてインターネット接続を乗っ取った
- 侵害されたシステムはひそかにプロキシネットワークへ組み込まれ、匿名での犯罪行為に利用された
- この攻撃は34カ国の少なくとも143台の機器に影響し、パッチ適用とアクセス制御の不備を浮き彫りにした
攻撃者はシステムに侵入しても、必ずしもマルウェアをインストールして侵害したエンドポイントを利用する必要はありません。まったく合法で通常のソフトウェアをインストールするだけで、不正に報酬を得ることができます。
セキュリティ研究者のGreyNoiseが最近確認した「プロキシジャッキング」の攻撃キャンペーンでは、数十カ国の数百台の機器が影響を受けました。
プロキシジャッキング
プロキシジャッキングとは、機器を乗っ取ってプロキシネットワークに組み込む攻撃です。通常、サイバー犯罪者はコンピューターに侵入してマルウェアをインストールし、自前のプロキシネットワークを構築します。このネットワークは、後から貸し出したり、自分たちで利用したりできます。攻撃者は、身元を隠すための「クリーン」で警戒対象になっていない機器やIPアドレスを常に必要としています。そのため、悪意のあるものも合法的なものも含め、レジデンシャルプロキシは非常に需要の高いサービスとなっています。
悪質なレジデンシャルプロキシの代表例には、IPIDEA、NetNut、Cloudrouterなどがあります。これらはいずれも現在、完全に解体されたか、深刻な打撃を受けています。しかし稼働していた当時は、一般家庭で使われるインターネット接続に紐づく数十万、場合によっては数百万ものIPアドレスを提供していました。これが「レジデンシャルIPアドレス」と呼ばれるゆえんです。
しかし、悪意のあるプロキシの運用は容易ではありません。機器をネットワークに組み込むには、攻撃者がマルウェアを展開する必要があります。ところが、マルウェアは発見されるとすぐにアンチウイルス製品に検知され、隔離されてしまいます。GreyNoiseが確認した今回の攻撃では、攻撃者は代わりに、同様の機能を持つ正規のアプリを利用していました。
研究者らは、何者かがPawns.appをインストールしているのを確認しました。Pawns.appは主に、オンラインアンケートへの回答やゲームのプレイでユーザーが報酬を得られるリワードプラットフォームです。ただし、かつては帯域幅共有機能も提供していました。この機能では、企業の顧客がユーザーのレジデンシャルIPアドレスを経由して通信を中継する代わりに、ユーザーが報酬を得られました。同アプリは今年初めにこの機能を廃止しましたが、古いバージョンではまだ動作するとみられます。
アプリのウェブサイトには、「2026年現在、Pawns.appはインターネット帯域幅の共有を提供していません」との告知が掲載されています。告知は「この機能は廃止されており、現在はPawns.appとは無関係です」と続きます。しかし、アプリの利用規約には、一部のバージョンでトラフィック共有を利用できると今も記載されています。同社の法人向けサイトでも、帯域幅の収益化向けSDKが引き続き紹介されています。
D-Linkを標的に
この点に目をつけた攻撃者が、行動に出たようです。GreyNoiseによると、標的となったのはD-Link ShareCenter NAS機器、Ubiquiti UniFi Video NVR、SAP NetWeaver Visual Composerです。これらにはそれぞれ異なる脆弱性があり、D-LinkにはCVE-2024-3272とCVE-2024-3273、UbiquitiにはCVE-2021-44228、そして
SAPにはCVE-2025-31324が存在します。攻撃者はこれらを悪用してPawns.appを展開しました。GreyNoiseは、HikvisionやDahuaのDVR/NVR機器も標的にされたと述べていますが、これらの機器に対してどの脆弱性が悪用されたかは明らかにしていません。
公開時点で、研究者らは世界34カ国で少なくとも143台の侵害された機器を確認しています。いずれの機器にも正規のソフトウェアがインストールされていましたが、持ち主の知らないところで同意なく展開されたものであり、一連の行為は違法となります。
GreyNoiseは「『インターネット回線で稼ぐ』こと自体は任意で行うものですが、プロキシジャッキングは犯罪です。プロキシジャッキングとは、悪意のあるサイバー攻撃者が被害者の機器を強制的にプロキシネットワークへ組み込み、その帯域幅を収益化する行為です」と警告しています。
管理下にある機器で同様の被害が起きていないか心配な場合は、GreyNoiseが無料サービスを用意しています。このサービスでは、自分のIPアドレスが同社のGlobal Observation Gridと通信したかどうかを確認できます。研究者らによると、これはプロキシジャッキングの潜在的な兆候になり得るとのことです。
企業はIPアドレスのスキャンに加えて、従業員に対し、無料アプリのインストールに伴うリスクと、機器へのパッチ適用を怠らないことの重要性を周知する必要があります。さらに、認証ログからレジデンシャルプロキシのIPアドレスを検出することも求められます。位置情報だけでなく、デバイス識別子やセッション識別子の不一致など、ユーザー認証時の挙動や特徴の逸脱も検知すべきです。
